本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 快速创建 AWS WAF
<a name="managing-waf-quick-create"></a>

借助 Quick Create，您可以在单个指导式工作流程中定义和部署 AWS WAF 保护。如果要在一个会话中设置从规则到部署的完整 Web ACL 保护，请使用 Quick Create。

要使用 Quick Create 定义和部署 AWS WAF 保护，请按顺序完成以下步骤。

**创建策略并添加保护**  


1. 打开 AWS 网络安全管理器控制台，网址为[https://console.aws.amazon.com/network-security-manager/](https://console.aws.amazon.com/network-security-manager/)。

1. 在导航窗格中，选择**概述**。

1. 在 “**概述**” 页面的右上角，选择 “**快速创建和部署**”。“**快速创建和部署**” 页面将显示多个窗格。

1. 在**策略详细信息**窗格中，为**名称**输入策略名称。（可选）对于**描述**，输入描述。

1. 在 “**定义保护**” 窗格中，选择要使用的防火墙类型。选择 **AWS WAF。**将出现 “**模板和规则**” 子窗格，您可以在其中添加规则或模板。

1. 要添加规则，请选择**添加或管理规则**。在出现的窗口中，对于 **“选择规则类型**”，选择以下选项之一：
   + **AWS 托管规则**-该表显示了 AWS WAF 支持的所有 AWS 托管规则。
   + **规则**-该表显示了您拥有的 AWS WAF 规则组（ AWS 托管规则除外）。

   选中要添加到策略中的规则对应的复选框。然后选择**添加规则**。

1. 要添加模板，请选择**添加模板**。在出现的 “**添加模板**” 窗口中，该表格显示了所有可用的模板。选择所需的模板以及要包含在策略中的版本。然后选择 “**添加模板**”。

**配置策略**  


1. 在 “**模板和规则**” 表格中查看您的选择。**位置**列中的整数决定了规则和模板的评估顺序。要更改评估顺序，请在 “位置” 列中选择**位置**值。使用箭头更改值。要接受更改，请选择**确认**。要恢复更改，请选择 “**取消”**。

1. 在 “**定义保护**” 窗格的 “**策略配置**” 下，决定 AWS 网络安全管理器在目标范围内自动执行的操作：
   + **修复**会将定义的策略应用于其安全状态与 AWS 网络安全管理器中描述的所需状态不同步的所有资源。
   + **资源清理**会在删除部署或帐户或资源超出范围时删除 AWS Network Security Manager 为该资源创建的防火墙。
   + **现有客户 WebACL 解决方案**决定了如何解决您正在定义的策略与可能已部署的策略之间的冲突。从菜单中选择以下选项之一：
     + **任何补救措施**都不会跳过对任何已有 Web ACL 的资源的修复。
     + **覆盖关联**将现有的 Web ACL 替换为 AWS 网络安全管理员创建的 Web ACL。
     + **Retrofit** 将其规则改造到每个现有的 Web ACL 上，并保持 Web ACL 与资源相关联。

1. 在**策略优先级**窗格中，设置优先级。 AWS 网络安全管理器根据策略的优先级评估策略以解决冲突。位置越低（整数越低）的优先级越高。要编辑优先级，请选择**位置**值。然后用箭头将其递增，或者直接输入一个值。要确认选择，请选择**确认**。要放弃更改，请选择 “**取消**”。

**要设置范围**  


1. 在**设置范围**窗格中，定义策略适用的资产集。在**范围名称**中，输入一个名称。（可选）对于**描述**，输入描述。

1. 
**Multi-account 仅限模式**  
此步骤仅适用于多账户模式。在多账户模式下，使用**账户和组织单位选择**子窗格来选择要包含或排除哪些账户或组织单位。在单账户模式下，此子窗格不会出现在控制台中，因此请跳过此步骤。

   在账户和组织单位选择子窗格中，选择以下选项之一：
   + 范围涵盖整个 AWS 组织。无需进一步定义。
   + 范围涵盖整个 AWS 组织，但不包括特定的 OU 和账户。将出**现 “组织单位**” 子窗格和 “**帐户**” 子窗格。要排除组织单位，请选择**添加 OU**。在组织树中选择组织单位，然后选择**添加 OU**。要排除个人账户，请选择**添加账户**。在组织树中选择帐户，然后选择**添加帐户**。
   + 不要将范围扩大到整个 AWS 组织，而只包括特定的 OU 和账户。使用相同**的 “添加** OU” 和 “**添加帐户**” 机制来包含所需的组织单位和帐户。

1. 在**资源**子窗格中，对于**资源类型**，选择所有或特定的 AWS WAF 资源类型。这些选项是以下一个或多个选项：
   + **应用程序负载均衡器**
   + **亚马逊 API Gateway REST API**
   + **CloudFront 分配**
**CloudFront 区域要求**  
要保护**CloudFront 分销**资源，请使用美国东部（弗吉尼亚北部）区域 (`us-east-1`)。
**全球和区域资源类型**  
您可以选择全球资源类型（**CloudFront 分配**）或区域资源类型（Application Loa **d Balancer** 和 **Amazon API Gateway REST API**），但不能同时选择两者。选择资源类型后，更新配置时无法在**CloudFront 分发**资源类型和区域资源类型之间切换。
**非托管资源 CloudFront**  
AWS Network Security Manager 不管理使用 CloudFront统一费率定价计划或 CloudFront 分期分配的 CloudFront 分配。这些资源显示为不同步。

1. 对于每种选定的资源类型，请选择以下互斥选项之一：
   + **包含所有资源**
   + **包括特定资源**
   + **排除特定资源**

1. 如果您选择 “**包括特定资源**”，请选择以下表达式类型之一，然后构建适当的标签或 ARN 组合：
   + **单一标准**
   + **匹配所有条件 (AND)**
   + **匹配任何标准 (OR)**
   + **不是**

   所有资源类型都有**标签**和 **ARN 包含标准。**如果选择 “**标签**”，请输入**密钥**和可选**值**。您可以识别多个标签。如果您的资源类型是 App **lication Load Balancer**，则会显示其他**配置**标准。在 “**配置**” 中，选择一个**方案**，其中包含选项**Internet-facing**或 “**内部**”。

**查看和部署策略**  


1. 在**查看和部署**窗格中，在**部署名称**中输入名称。（可选）对于**描述**，输入描述。要确定您的部署内容是否对组织中的其他账户可见，请选择**为此部署启用跨账户可见性**。

1. （可选）要向资源添加标签，请选择**添加新标签**，然后输入**密钥**和可选**值**组合。

1. 要运行您定义的内容，请选择**创建并部署**。该过程完成后，将出现 “**部署**” 页面，您可以在其中查看已创建内容的详细信息。

**部署可能会产生费用**  
部署创建网络安全服务并将其附加到受保护的资源。 AWS 网络安全管理器对受保护的资源收费。安全服务本身会保护资源，这会产生额外费用。在部署之前，请查看[AWS 网络安全管理器定价页面](https://aws.amazon.com/network-security-manager/pricing/)和 [AWS WAF 定价页面](https://aws.amazon.com/waf/pricing/)。